რატომ არის მოთამაშეთა მონაცემები ოპერატორისთვის ცენტრალური რისკი
სათამაშო ოპერატორი თითქმის ყველა ურთიერთობას მონაცემებით იწყებს: მოთამაშის რეგისტრაცია, იდენტიფიკაცია და ვერიფიკაცია, დეპოზიტებისა და გაყვანების ისტორია, თამაშის ქცევის პროფილი, თვითგამორიცხვისა და აკრძალულ პირთა სიებთან შემოწმება — ყველაფერი ეს პერსონალურ მონაცემთა დამუშავებაა. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის მუხლი 2 განსაზღვრავს ამ კანონის მოქმედების სფეროს: იგი ვრცელდება მონაცემთა ავტომატური და ნახევრად ავტომატური საშუალებებით დამუშავებაზე, იმ მონაცემთა არაავტომატურ დამუშავებაზე, რომლებიც ფაილური სისტემის ნაწილია ან ფაილურ სისტემაში შესატანად მუშავდება, აგრეთვე საქართველოს ფარგლების გარეთ რეგისტრირებული დამუშავებისთვის პასუხისმგებელი პირის მიერ საქართველოში არსებული ტექნიკური საშუალებების გამოყენებით დამუშავებაზე — გარდა იმ შემთხვევისა, როდესაც ტექნიკური საშუალებები მხოლოდ ტრანზიტისთვის გამოიყენება.
ეს ნიშნავს, რომ უცხოური სტრუქტურით მოქმედი ოპერატორიც კი, რომელიც ქართულ სერვერებს ან სხვა ტექნიკურ საშუალებებს იყენებს, ქართული კანონის ეფექტურ ზონაში ხვდება. ამავე დროს, კანონი არ ვრცელდება პირადი ან ოჯახური მიზნით დამუშავებაზე, სახელმწიფო უსაფრთხოების, თავდაცვისა და დაზვერვის მიზნებზე, სასამართლო სამართალწარმოებასა და მასობრივი ინფორმაციის საშუალებების საქმიანობაზე — მაგრამ კომერციული სათამაშო საქმიანობა ამ გამონაკლისებში არ ჯდება.
დამუშავების პრინციპები
მუხლი 4 ადგენს იმ პრინციპებს, რომლებიც ყოველი ოპერაციისას უნდა იყოს დაცული. მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად, მონაცემთა სუბიექტისთვის გამჭვირვალედ და მისი ღირსების შეულახავად; შეგროვდეს მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნებისთვის, და დაუშვებელია მათი შემდგომი დამუშავება თავდაპირველ მიზანთან შეუთავსებელი მიზნით; დამუშავდეს მხოლოდ იმ მოცულობით, რომელიც აუცილებელია ლეგიტიმური მიზნის მისაღწევად — მიზნის თანაზომიერი უნდა იყოს.
მონაცემები ნამდვილი და ზუსტი უნდა იყოს, საჭიროების შემთხვევაში — განახლებული, ხოლო არაზუსტი მონაცემები უნდა გასწორდეს, წაიშალოს ან განადგურდეს გაუმართლებელი დაყოვნების გარეშე. შენახვა დასაშვებია მხოლოდ იმ ვადით, რომელიც მიზნის მისაღწევად არის საჭირო — მიზნის მიღწევის შემდეგ მონაცემები იშლება, ნადგურდება ან დეპერსონალიზდება. და ბოლოს, უსაფრთხოება: დამუშავებისას მიღებული უნდა იქნეს ისეთი ტექნიკური და ორგანიზაციული ზომები, რომლებიც მონაცემებს დაიცავს უნებართვო ან უკანონო დამუშავებისგან, შემთხვევითი დაკარგვისგან, განადგურებისგან ან დაზიანებისგან. კანონი ადარებს შემდგომი დამუშავების დროს თავდაპირველ და ახალ მიზანს შორის კავშირს, მოლოდინებსა და შესაძლო შედეგებს — და დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია პრინციპების დაცვა დაასაბუთოს.
დამუშავების საფუძვლები
მუხლი 5 წესს აწესებს: დამუშავება დასაშვებია, მხოლოდ თუ არსებობს საფუძველთაგან ერთ-ერთი. მოთამაშის კონტექსტში ყველაზე ხშირად გამოიყენება: მონაცემთა სუბიექტის თანხმობა ერთი ან რამდენიმე კონკრეტული მიზნით; გარიგებით ნაკისრი ვალდებულების შესრულება ან გარიგების დადება სუბიექტის მოთხოვნით; კანონით გათვალისწინებული დამუშავება — რაც სათამაშო სფეროში განსაკუთრებით აქტუალურია, რადგან საიდენტიფიკაციო მოთხოვნები ზუსტად აქედან მოდის; მოთხოვნის განსახილველად აუცილებელი დამუშავება; ასევე ლეგიტიმური ინტერესები, თუ სუბიექტის უფლებების დაცვის აღმატებული ინტერესი არ არსებობს.
მნიშვნელოვანია: სამართლებრივი საფუძვლის დასაბუთების ვალდებულება ეკისრება დამუშავებისთვის პასუხისმგებელ პირს — იურიდიული ან ფაქტობრივი შეცდომა საფუძვლის არჩევაში მთელ დამუშავებას აყენებს საეჭვო საფუძველზე. ამიტომ თითოეული მონაცემთა ნაკადისთვის — მარკეტინგი, ბონუსები, ანალიტიკა, კომპლაინსი — ცალკე უნდა იყოს განსაზღვრული საფუძველი და მიზანი.
განსაკუთრებული კატეგორიის მონაცემები
მუხლი 6 მკაცრ რეჟიმს აწესებს განსაკუთრებული კატეგორიის მონაცემებზე: მათი დამუშავება დასაშვებია მხოლოდ იმ შემთხვევაში, თუ დამუშავებისთვის პასუხისმგებელი პირი უზრუნველყოფს სუბიექტის უფლებებისა და ინტერესების დაცვის კანონით გათვალისწინებულ გარანტიებს და არსებობს კანონით დადგენილი საფუძვლებიდან ერთ-ერთი. პირველი და ყველაზე მოთხოვნადი გზა წერილობითი თანხმობაა — განსაკუთრებული კატეგორიის მონაცემებზე ჩვეულებრივი თანხმობა არ კმარა. დანარჩენ საფუძვლებს შორის არის კანონით პირდაპირ რეგულირებული დამუშავება, სასიცოცხლო ინტერესები, სოციალური უზრუნველყოფა და სხვა.
სათამაშო ბიზნესის პრიზმაში ეს კრიტიკულია: თამაშის ქცევის პროფილი და დამოკიდებულებასთან დაკავშირებული შეფასებები ადამიანის ჯანმრთელობასა და ქცევას ეხება, ამიტომ მათი დამუშავება განსაკუთრებული სიფრთხილით უნდა იყოს აწყობილი სწორედ ამ მუხლის პრიზმაში. განსაკუთრებული კატეგორიის მონაცემთა დამუშავების სამართლებრივი საფუძვლის დასაბუთების ვალდებულებაც ასევე დამუშავებისთვის პასუხისმგებელ პირს ეკისრება.
კომპლაინს-არქიტექტურა ოპერატორისთვის
პრაქტიკაში მოთამაშეთა მონაცემების დაცვა სამი ფენისგან შედგება: მიზნების რუკა, სადაც თითოეული ნაკადისთვის ფიქსირდება მიზანი, საფუძველი და შენახვის ვადა; თანხმობის მართვის მექანიზმი, რომელიც თანხმობის მიცემას, შეცვლასა და გაუქმებას ასახავს; და უსაფრთხოების ზომები — ტექნიკური და ორგანიზაციული — რომლებიც მონაცემებს უნებართვო წვდომისგან იცავს.
განსაკუთრებული ყურადღება იმ ნაკადებს ესაჭიროება, რომლებიც კანონიდან მოდის — იდენტიფიკაცია, შემოწმება სიებში, ფინანსური მონიტორინგის ინფორმაცია: აქ საფუძველი კანონია და არა თანხმობა, და ეს განსხვავება დოკუმენტაციაში ცხადად უნდა ჩანდეს, რომ მოთხოვნის შემთხვევაში ოპერატორმა თითოეული ნაბიჯი დაასაბუთოს.
ხშირად დასმული კითხვები
ვრცელდება თუ არა კანონი უცხოურ ოპერატორზე?
დიახ, თუ საქართველოს ფარგლების გარეთ რეგისტრირებული დამუშავებისთვის პასუხისმგებელი პირი მონაცემებს საქართველოში არსებული ტექნიკური საშუალებებით ამუშავებს — გარდა იმ შემთხვევისა, როცა ისინი მხოლოდ ტრანზიტისთვის გამოიყენება.
რა განსხვავებაა თანხმობასა და კანონიერ ვალდებულებას შორის?
თანხმობა სუბიექტის თავისუფალი გადაწყვეტილებაა კონკრეტულ მიზანზე, ხოლო კანონით დადგენილი დამუშავება საფუძვლად კანონს აქვს — მაგალითად, იდენტიფიკაციის მოთხოვნები. ორივე შემთხვევაში დასაბუთება ოპერატორის ვალდებულებაა.
რომელი პრინციპი ირღვევა ყველაზე ხშირად?
მიზნის შეზღუდვა და მინიმიზაცია: მონაცემების შეგროვება „ყველაფრისთვის, რაც შეიძლება დაგვიდეს“ რეჟიმში. კანონი მოითხოვს მხოლოდ კონკრეტულ, მკაფიოდ განსაზღვრულ და ლეგიტიმურ მიზნებს და მიზნისთვის აუცილებელ მოცულობას.
როგორ იმუშავებს წერილობითი თანხმობა განსაკუთრებული მონაცემებისთვის?
განსაკუთრებული კატეგორიის მონაცემთა დამუშავება წერილობითი თანხმობით ან კანონით პირდაპირ გათვალისწინებულ საფუძვლებზეა დასაშვები, და ამ დროს უზრუნველყოფილი უნდა იყოს სუბიექტის უფლებების დაცვის გარანტიები.
როგორ დაგეხმარებით Legal.ge-ზე
ჩვენ ავაწყობთ მოთამაშეთა მონაცემების დაცვის სრულ ჩარჩოს: მიზნებისა და საფუძვლების რუკას, თანხმობის ფორმებს, განსაკუთრებული კატეგორიის მონაცემების დამუშავების წესს და უსაფრთხოების ზომების აღწერას. დაგვიკავშირდით Legal.ge-ზე — კომპლაინსი, რომელიც დღეს აიგო, ხვალ მოთხოვნას უპრობლემოდ მიიღებს.